☰

1時間ごとの致命的なウィンドウアラート

tag-icon • tag-icon windows ssl windows-server-2012-r2 windows-event-log eventviewer
1時間ごとの致命的なウィンドウアラート

私のWindows Server 2012 R2（アップグレード予定）の1つで、イベントロガーがいっぱいになっています。

  • 36887 A fatal alert was received from the remote endpoint. The TLS protocol defined fatal alert code is 40.ソース付きイベント IDSchannel

これは約 1 時間ごと (+/- 数十秒) に発生し、最初にログオンしたのは 2022 年 11 月 10 日午後 1 時です。最後の Windows 更新は 2022 年 11 月 9 日に行われました。

Windows ログ > システムの下に表示されます。

2022年11月8日にも同様のエラーに気づきました

  • 36882 The certificate received from the remote server was issued by an untrusted certificate authority. Because of this, none of the data contained in the certificate can be validated. The SSL connection request has failed. The attached data contains the server certificate.ソース付きイベントSchannel

  • 36888 A fatal alert was generated and sent to the remote endpoint. This may result in termination of the connection. The TLS protocol defined fatal error code is 48. The Windows SChannel error state is 552.ソース付きイベントSchannel

注目されるもう1つのパターンは、すべてのイベントID36887が

  • 7036 The WinHTTP Web Proxy Auto-Discovery Service service entered the running state.ソースからのイベントService Control Manager

エラーを再現できるかどうかを確認するために、WinHTTP と依存サービスを停止して起動してみましたが、効果はありませんでした。また、障害発生時の接続を監視するために Wireshark を使用しました。私が見つけた最も近い一致は、致命的なアラート (ハンドシェイクの失敗) が発生した 20.121.85.115 (Microsoft IP) でした。

1 時間ごとに実行される Windows サービスが、無効な SSL 証明書を使用して Microsoft IP を呼び出していると思われます。それが何なのかはわかりません。

このエラーを解決する方法はありますか?

答え1

CAPI ログを有効にすると、信頼されていない証明書に関する詳細情報を取得できます。ログはデフォルトでは無効になっていますが、右クリックするとログが有効になります。

アプリケーションとサービス/Microsoft/Windows/CAPI2/運用

通常、証明書のサブジェクト名とフィンガープリントが含まれます。サンプルを以下に示します。

新しい Microsoft CA から発行された証明書が使用されている可能性があり、ホストに更新されたルート CA 証明書または中間 CA 証明書がインストールされていない可能性があります。

Windows は、新しい証明書または更新された証明書を自動的にダウンロードしようとします。これが無効になっている場合 (ルート証明書の自動更新をオフにする)、またはアクセスがブロックされている場合は、自動更新のために証明書をダウンロードして共有に配置する必要がある場合があります。

信頼されたルートと許可されていない証明書を構成する
https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/dn265983(v=ws.11)

Certutil を使用すると、グループ ポリシーによる配布用にネットワーク共有に入力する証明書をダウンロードできます。

Certutil -syncWithWU \\Server1\CTL

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-CAPI2" Guid="{5bbca4a8-b209-48dc-a8c7-b23d3e5216fb}" />
    <EventID>30</EventID>
    <Version>0</Version>
    <Level>2</Level>
    <Task>30</Task>
    <Opcode>0</Opcode>
    <Keywords>0x4000000000000001</Keywords>
    <TimeCreated SystemTime="2022-11-18T14:15:15.4126330Z" />
    <EventRecordID>26</EventRecordID>
    <Correlation ActivityID="{bfcbf0f2-f4ee-0002-66f1-cbbfeef4d801}" />
    <Execution ProcessID="636" ThreadID="14532" />
    <Channel>Microsoft-Windows-CAPI2/Operational</Channel>
    <Computer>XXX</Computer>
    <Security UserID="S-1-5-18" />
  </System>
  <UserData>
    <CertVerifyCertificateChainPolicy>
      <Policy type="CERT_CHAIN_POLICY_MICROSOFT_ROOT" constant="7" />
      <Certificate fileRef="AD81722A9E0E6394748343D025887D9285AE95D9.cer" subjectName="cxcs.microsoft.net" />
      <CertificateChain chainRef="{73D8FB26-4CD0-4E8D-BBCE-1095FA7EC749}" />
      <Flags value="0" />
      <Status chainIndex="0" elementIndex="2" />
      <EventAuxInfo ProcessName="lsass.exe" />
      <CorrelationAuxInfo TaskId="{D6FE4576-970E-4588-B77A-718E2027EFF0}" SeqNumber="1" />
      <Result value="800B0109">A certificate chain processed, but terminated in a root certificate which is not trusted by the trust provider.</Result>
    </CertVerifyCertificateChainPolicy>
  </UserData>
</Event>

関連情報